أستكشاف أخطاء الاتصال وإصلاحها في عنوان IP الخاص بإدارة عقدة بيانات نظام المجموعة بعد ترقية البرنامج

مسألة

بعد ترقية البرامج، يتم فشل الاتصال بعنوان IP الخاص بإدارة بيانات نظام المجموعة باستخدام عقدة بروتوكول رسائل التحكم في الإنترنت (ICMP). في هذه المقالة يتم إستخدام "العقدة" أو "الوحدة" بالتبادل.

أعراض محددة:

1. لا يتم إنشاء حزم الرد على بروتوكول رسائل التحكم بالإنترنت (ICMP) لحزم الارتداد الواردة على عنوان IP الخاص بإدارة عقدة البيانات.

2. توضح عمليات التقاط الحزم على واجهة الإدارة أن وحدة البيانات تعيد توجيه الحزم إلى وحدة التحكم كمالك غير متفرغ بدلا من إستهلاكها ومعالجتها محليا.

3. تشير عمليات التقاط الحزم على واجهة التحكم في نظام المجموعة إلى أنه يتم إسقاط حزم صدى ICMP المعاد توجيهها هذه على عقدة التحكم مع رفض تدفق سبب الإسقاط (acl-drop) بواسطة القاعدة التي تم تكوينها.

تشير واجهة الإدارة في سياق هذه المقالة إلى اسم الواجهة التي تم تكوينها باستخدام الأمر management-only individual:

unit1/control-node# show run interface m1/1
!
interface Management1/1
 management-only individual
 nameif management
 security-level 100
 ip address 192.0.2.1 255.255.255.0 cluster-pool cpool

البيئة

• برنامج أجهزة الأمان المعدلة Secure Adaptive Security Appliance (ASA)، الإصدار 9.22.2.32 في إعداد مجموعة باستخدام واجهات موزعة. كما يمكن أن تتأثر إصدارات البرامج الأخرى.

• ASA في أوضاع متعددة أو أحادية السياق.

• يتأثر أي إصدار من البرامج يتجاوز 9.22.3.

• يتم الوفاء بأحد هذين الشرطين أو كليهما:

1. يتم تمكين مكدس CiscoSSH ويتم تكوين الأمر ssh x.x.x.x y.y.y <management_nameif>. في هذه الحالة، تفشل إتصالات ICMP/Telnet/HyperText Transfer Protocol (HTTPS) الآمنة بعقدة البيانات:

unit1/control-node# show ssh
ssh secure copy : DISABLED
ciscoSSH stack  : ENABLED
…
unit1/control-node# show run ssh
ssh stricthostkeycheck
ssh timeout 10
ssh key-exchange group dh-group14-sha256
ssh key-exchange hostkey ecdsa
ssh 0.0.0.0 0.0.0.0 management

يتم تمكين مكدس CiscoSSH بشكل افتراضي ويمكن تعطيله في الإصدارات 9.19.1 والإصدارات الأحدث. بالإضافة إلى ذلك، في الإصدار 9.23.1 والإصدارات الأحدث، لا يمكن تعطيل هذا المكدس.

2. تم تكوين الأمر snmp-server host <management_nameif>.

unit1/control-node(config)# show run snmp-server
snmp-server host management 192.0.2.101 community ***** version 2c

في هذه الحالة، فشل إتصالات ICMP/Telnet/HTTPS بعقدة البيانات. يفشل إتصالات SSH أيضا إذا تم تعطيل مكدس CiscoSSH.

قرار

تحليل

التقاط الحزمة على واجهة إدارة عقدة البيانات:

unit2/data-node# capture capi interface management trace match icmp any any
unit2/data-node# show capture capi trace packet-number 1
2 packets captured
 
   1: 12:20:47.339566       192.0.2.1 > 198.51.100.100 icmp: echo request
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Elapsed time: 7582 ns
Config:
Additional Information:
MAC Access list
 
Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 7582 ns
Config:
Implicit Rule
Additional Information:
MAC Access list
 
Phase: 3
Type: NO-NAT
Subtype: self-addressed
Result: ALLOW
Elapsed time: 8028 ns
Config:
Additional Information:
NAT divert to egress interface identity
 
Phase: 4
Type: CLUSTER-EVENT
Subtype:
Result: ALLOW
Elapsed time: 1784 ns
Config:
Additional Information:
Input interface: 'management'
Flow type: NO FLOW
NAT: I (1) am redirecting packet to unxlate owner (0). <- ICMP ECHO packet is not consumed, but redirected to the unxlate owner, in this case, the control unit.
 
Result:
input-interface: management
input-status: up
input-line-status: up
Action: allow
Time Taken: 24976 ns

التقاط الحزمة على واجهة التحكم في نظام مجموعة عقدة التحكم:

unit1/control-node# capture ccl interface cluster trace match icmp any any
unit1/control-node# show capture ccl trace packet-number 1
 
2 packets captured
 
   1: 12:20:47.336469       192.0.2.1 > 198.51.100.100 icmp: echo request
Phase: 1
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 16948 ns
Config:
Implicit Rule
Additional Information:
MAC Access list
 
Phase: 2
Type: ROUTE-LOOKUP
Subtype: No ECMP load balancing
Result: ALLOW
Elapsed time: 8474 ns
Config:
Additional Information:
Destination is locally connected. No ECMP load balancing.
Found next-hop 198.51.100.100 using egress ifc  management
 
Phase: 3
Type: CLUSTER-EVENT
Subtype:
Result: ALLOW
Elapsed time: 4014 ns
Config:
Additional Information:
Input interface: 'management'
Flow type: NO FLOW
I (0) have been elected owner by (0).
 
Phase: 4
Type: ACCESS-LIST
Subtype: mgmt-deny-all <- ICMP ECHO packets are dropped.
Result: DROP
Elapsed time: 2899 ns
Config:
Additional Information:
 
Result:
input-interface: cluster
input-status: up
input-line-status: up
output-interface: management
output-status: up
output-line-status: up
Action: drop
Time Taken: 32335 ns
Drop-reason: (acl-drop) Flow is denied by configured rule, Drop-location: frame snp_classify_table_lookup:6016 flow (NA)/NA <- Drop reason

يتطلب الحل الدائم ترقية البرنامج إلى الإصدار باستخدام إصلاح معرف تصحيح الأخطاء من Cisco CSCwv19381.

خيارات الحل:

أ) إزالة أوامر مضيف خادم snmp عبر واجهة الإدارة.

إذا تم تعطيل مكدس CiscoSSH، فإن إزالة أوامر مضيف خادم snmp عبر واجهة الإدارة تستعيد اتصال الإدارة لبروتوكولات مثل ICMP و HTTPS و SSH و Telnet. إذا تم تمكين مكدس Cisco SSH، فسيفشل اتصال بروتوكولات مثل ICMP و HTTPS و Telnet. لا يؤثر الأمر snmp-server host عبر واجهة الإدارة على إتصالات SSH عبر واجهة الإدارة إذا تم تمكين مكدس CiscoSSH.

ب) تعطيل مكدس Cisco SSH باستخدام الأمر no ssh stack cisco. يؤدي تعطيل هذا المكدس إلى تنشيط مكدس ASA SSH. وبالإضافة إلى ذلك، تتم إستعادة اتصال الإدارة لبروتوكولات مثل ICMP و HTTPS و Telnet. قبل تعطيل مكدس CiscoSSH، تأكد من فهمك لتأثيره. ارجع إلى كتاب CLI رقم 1: دليل تكوين واجهة سطر الأوامر (CLI) للعمليات العامة Cisco Secure Firewall ASA Series للحصول على مزيد من التفاصيل.

السبب

ترجع الأعراض إلى معرف تصحيح الأخطاء من Cisco CSCwv19381.

المحتوى ذي الصلة

• معرف تصحيح الأخطاء من Cisco CSCwv19381

• CLI كتاب 1: دليل تكوين واجهة سطر الأوامر لعمليات ASA العامة Cisco Secure Firewall ASA Series General Operations CLI

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	01-Jul-2026	الإصدار الأولي